Accord de traitement des données

Le présent accord fait partie du contrat entre Breeo (le « Sous-traitant ») et l'entreprise cliente (le « Client », responsable de traitement), formé avec les conditions générales. Il est accepté en même temps qu'elles, à la mise en route de l'espace, et prévaut sur elles pour tout ce qui touche aux données personnelles.

Il s'applique aux données personnelles que Breeo traite pour le compte du Client. Les traitements dont Breeo est lui-même responsable (comptes, sécurité, facturation, mesure du service) sont décrits dans la politique de confidentialité.

Breeo traite les données uniquement sur instruction documentée du Client : le contrat, cet accord, et les réglages que le Client fait dans son espace (connexions, durées, membres). Si une instruction lui paraît contraire à la réglementation, Breeo en informe immédiatement le Client. Si la loi l'oblige à un traitement, il en informe le Client au préalable, sauf interdiction légale.

Breeo veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou y soient tenues par la loi, et n'y accèdent que dans la mesure nécessaire au service ou au support demandé.

Breeo met en œuvre les mesures techniques et organisationnelles prévues à l'article 32 du RGPD, notamment :

• le cloisonnement de chaque espace, contrôlé au niveau de la base de données ;
• le chiffrement des échanges (HTTPS) et des données au repos chez les hébergeurs, et le chiffrement AES-256 des jetons d'accès aux outils ;
• l'absence de tout enregistrement audio des appels ;
• des accès techniques limités, nominatifs et tracés ;
• des durées de conservation bornées et des suppressions programmées ;
• la revue régulière de ces mesures.

Le Client autorise Breeo à recourir aux sous-traitants ultérieurs listés dans la politique de confidentialité. Breeo leur impose par contrat des obligations de protection au moins équivalentes à celles de cet accord, et reste responsable devant le Client de leur exécution.

Breeo informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif lié à la protection des données ; à défaut de solution trouvée ensemble, il peut résilier sans frais le service concerné avant l'entrée en vigueur du changement.

Lorsque des données sont traitées par un sous-traitant ultérieur situé hors de l'Union européenne, le transfert est encadré par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y adhère, par le cadre de protection des données UE–États-Unis. Breeo tient à la disposition du Client la liste des pays concernés et les garanties en place.

• Droits des personnes. Breeo transmet au Client, sans délai, toute demande reçue d'une personne concernée, et l'aide à y répondre, notamment par des fonctions d'export, de correction, de suppression et d'opposition (« Ne pas appeler »).
• Analyses d'impact. Breeo fournit au Client les informations utiles à une analyse d'impact et, le cas échéant, à la consultation préalable de la CNIL.
• Registre. Breeo tient un registre des traitements qu'il effectue pour le compte de ses clients.

Breeo notifie au Client toute violation de données personnelles dans les 48 heures après en avoir pris connaissance, par e-mail à l'administrateur de l'espace. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Breeo complète ces informations à mesure qu'il les obtient, pour permettre au Client de notifier la CNIL dans les 72 heures et, si nécessaire, les personnes concernées.

À la fin du contrat, Breeo restitue au Client, sur demande formulée dans les 30 jours, ses données dans un format courant (CSV ou JSON), puis les supprime, ainsi que leurs copies, sauf obligation légale de conservation. Breeo atteste de la suppression sur demande. Les sauvegardes sont effacées au fil de leur rotation.

Breeo met à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord. Le Client peut faire réaliser un audit, une fois par an au plus, sauf violation avérée, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de Breeo. L'audit est annoncé au moins 30 jours à l'avance, réalisé aux frais du Client et de façon à ne pas perturber le service ; il porte d'abord sur la documentation.

Le Client fournit des données collectées licitement, dispose d'une base légale pour sa prospection, informe les personnes concernées, notamment de la transcription des appels, et donne des instructions conformes à la réglementation. Il répond des données qu'il choisit d'importer ou de saisir.

La responsabilité de chaque partie au titre de cet accord est régie par l'article « Responsabilité » des conditions générales. Cet accord dure aussi longtemps que Breeo traite des données pour le compte du Client.